Ein Unternehmen nutzt Amazon WorkSpaces über sieben VPCs in verschiedenen Regionen. Das Cloud-SIEM muss DNS-Abfragen von den WorkSpaces analysieren, um kontaktierte Domänen zu identifizieren. Das SIEM unterstützt sowohl das Abrufen (Polling) als auch das Pushen von Logs. Welches ist das kostengünstigste Design, um diese Anforderung zu erfüllen?

Die korrekte Antwort ist die kostengünstigste, da Route 53 Query Logging speziell für DNS-Abfragen entwickelt wurde und direkt mit Kinesis Data Firehose integriert werden kann, um Logs effizient an das SIEM zu pushen. Dies vermeidet die Notwendigkeit, unnötige Daten zu sammeln oder zusätzliche Infrastruktur zu betreiben. VPC Flow Logs erfassen den gesamten IP-Verkehr, nicht nur DNS-Abfragen, was zu einem höheren Datenvolumen und damit zu höheren Kosten führt. Das Abrufen (Polling) des S3-Buckets durch das SIEM ist weniger effizient als das Pushen der Logs. Ein CloudWatch-Agent müsste auf jeder WorkSpace-Instanz installiert und gewartet werden, was bei vielen WorkSpaces komplex und teuer wäre. VPC Traffic Mirroring dupliziert den gesamten Netzwerkverkehr, was extrem datenintensiv und teuer ist, insbesondere für sieben VPCs in verschiedenen Regionen. Zudem erfordert es SIEM-Probes, die den gespiegelten Verkehr analysieren können, was zusätzliche Infrastruktur bedeutet.